Poedit CVE-2025-4280 & Viscosity CVE-2025-4412 macOS TCC Privilege Escalation via Python Interpreter

主要脆弱性情報 Poedit (CVE-2025-4280) CVE ID: CVE-2025-4280 公開日: 2025年5月22日 ベンダー: Poedit 製品: Poedit 脆弱性対象バージョン: 2.0 から 3.6.3 まで 脆弱性タイプ (CWE): 不適切なデフォルト権限 (CWE-276) 報告元: CERT Polska への報告 説明: PoeditのmacOS版には、ユーザーがメインアプリパッケージに付与した透明性、同意、制御（TCC）権限を継承するPythonインタプリタがバンドルされています。ローカルユーザーへのアクセス権を持つ攻撃者は、このインタプリタを呼び出して任意のコマンドやスクリプトを実行でき、以前アプリケーションが付与していたTCC権限を利用して、ユーザーフォルダ内のプライバシー保護対象ファイルにユーザプロンプトをトリガーすることなくアクセスできます。付与されたTCC権限を超える他のリソースへのアクセスについては、Poeditの権限を代用に要求するプロンプトがユーザーに表示され、攻撃者の悪意ある意図が隠蔽される可能性があります。 修正バージョン: 3.6.3 Viscosity (CVE-2025-4412) CVE ID: CVE-2025-4412 公開日: 2025年5月26日 ベンダー: SparkLabs 製品: Viscosity 脆弱性対象バージョン: 1.11.4 までのすべて 脆弱性タイプ (CWE): 不適切なデフォルト権限 (CWE-276) 報告元: CERT Polska への報告 説明: macOSシステムでは、起動エージェントの悪用とアプリパッケージからのViscosityのopenvpnプロセスの読み込みを通じて、ViscosityのTCC（透明性、同意、制御）アイデンティティを使用してダイナミックライブラリを読み込むことができます。獲得されたリソースアクセス権は、カメラやマイクへのアクセスなど、認可されていないリソースに限定されます。ユーザーが付与したファイルリソース権限のみが適用されます。付与された権限を超える他のリソースへのアクセスには、システムプロンプトを通じて権限をリクエストするためのユーザーの対話が必要です。 修正バージョン: 1.11.5 謝辞 Aline TeamのKarol Mazurekによる脆弱性報告に感謝します。

目標達成 すべての支援者に感謝 — 100%達成しました！

Poedit CVE-2025-4280 & Viscosity CVE-2025-4412 macOS TCC Privilege Escalation via Python Interpreter

目標達成すべての支援者に感謝 — 100%達成しました！